Trail of Bits Skills: методики аудиторов безопасности в вашем агенте
Хороший аудит безопасности держится на методике, которую обычно знают только специалисты. Trail of Bits выложила свои плагины для Claude Code и Codex: сканеры уязвимостей смарт-контрактов, ревью C/C++ и Rust, статический анализ на CodeQL и Semgrep, проверку зависимостей и инструменты для отсева ложных срабатываний.
building-secure-contracts содержит сканеры уязвимостей для шести блокчейнов, включая Solana, Cosmos, Substrate и TON, и пять помощников по правилам разработки.
c-review и rust-review разбирают безопасность памяти, целочисленные переполнения, гонки, FFI и границу unsafe; rust-review выдаёт отчёт в SARIF.
supply-chain-risk-auditor проверяет зависимости npm, PyPI и Go на уязвимости своей версии, заброшенные проекты и install-скрипты.
fp-check по шагам подтверждает или отвергает подозрение на уязвимость и выносит вердикт TRUE POSITIVE или FALSE POSITIVE с доказательствами.
constant-time-analysis ищет утечки по времени в криптокоде; по данным README, с его помощью нашли такую утечку в подписи ML-DSA в RustCrypto.
Когда пригодится
Перед внешним аудитом нужно подготовить репозиторий: прогнать статический анализ, поднять покрытие тестами, убрать мёртвый код.
В pull request меняется логика авторизации, и нужно ревью изменений с учётом git-истории и числа вызывающих функций.
Вы написали правило Semgrep под найденный баг и хотите через variant-analysis найти такие же ошибки в остальном коде.
Попросите агента
Проведи differential-review этой ветки и отметь изменения, которые затрагивают проверку прав
Просканируй программу на Anchor на отсутствие проверок подписанта и владельца
Проверь через fp-check, реальна ли находка про переполнение буфера в parser.c
Вопросы
Как установить Trail of Bits Skills?
В Claude Code добавьте маркетплейс командой /plugin marketplace add trailofbits/skills и выберите плагины через /plugin menu. Через skills CLI весь набор ставится командой npx skills add trailofbits/skills.
Работают ли плагины Trail of Bits в Codex?
Да. Codex читает маркетплейсы плагинов Claude напрямую: codex plugin marketplace add trailofbits/skills, затем codex plugin add с именем плагина и суффиксом @trailofbits.
Можно ли использовать эти скиллы в коммерческом проекте?
Лицензия CC BY-SA 4.0 разрешает коммерческое использование при указании авторства. Если вы распространяете изменённые скиллы, их нужно выпускать под той же лицензией.
